渗透测试简历模板：别让HR三秒就关掉你的渗透PDF

上个月帮朋友筛简历，招一个中级渗透岗，测试收了47份。简历真正点开看完的模板不到10份。大部分人的渗透简历开头是“精通OWASP Top 10”“熟悉常见Web漏洞原理”——然后整页都是工具列表：Burp、Nmap、测试SQLMap、简历Metasploit。模板我看完只想问一句：然后呢？渗透你拿这些工具干过什么？

渗透测试这行，工具谁都会装，测试漏洞库谁都能背。简历HR和技术负责人真正想看的模板，是渗透你有没有在真实目标上打过仗，踩过坑，测试甚至搞砸过。简历所以简历模板的第一条铁律：用项目经历开头，别用技能列表开头。

举个例子，同样是写SQL注入，普通写法是“熟悉SQL注入原理及利用”。有冲击力的写法是：“在某省级政务系统渗透项目中，通过时间盲注绕过WAF字符过滤，提取到库内明文口令哈希，最终拿下内网域控权限，全程未触发告警。” 你看，后者没有一句废话，但画面感直接拉满——你有思路、有手段、有结果，还懂规避检测。

技能板块别平铺。把最值钱的放最前面。如果你搞过内网域渗透，把“域环境横向移动、Kerberoasting、黄金票据”写在那堆“熟悉TCP/IP”前面。没人关心你会不会配交换机，那是网工的事。还有一点我特别在意：别写“了解”和“熟悉”这种模糊词。要么写“独立完成”，要么写“主导过”，要么写“在XX场景下复现过”。你要是真不会，就别写，面试一问就穿帮。

项目描述要具体到能让人脑补出攻击路径。别写“负责对客户系统进行安全测试”，这等于什么都没说。试着这样写：“目标为某银行移动端App，通过抓包发现其API接口未做签名校验，利用越权漏洞遍历用户ID，获取到2.3万条客户手机号，随后结合短信轰炸接口扩大影响，最终输出报告并协助修复。” 时间、目标、手法、影响范围、后续动作，五要素齐了。

有个细节容易被忽略——把失败经历也写进去。比如：“在一次红队演练中，前期信息收集遗漏了子域名接管风险，导致入口被对方蓝队提前封堵，后续改用钓鱼邮件加供应链攻击才突破边界。” 这比你写十句“擅长社会工程学”都管用。面试官看到这种描述，第一反应是这人真实，第二反应是这人复盘能力强。

证书板块别堆砌。CISP、CISSP、OSCP、CEH，挑跟渗透直接相关的写。OSCP含金量最高，放第一个。如果你有CTF获奖经历，哪怕是个省级三等奖，也写上——那说明你有快速学习能力和团队协作经验，比空泛的“自学能力强”可信多了。

最后说个很多老手都犯的毛病：简历写了三页纸。渗透测试是实战工种，不是学术论文。一页半以内最好。你那些“熟悉Linux操作”“了解Docker部署”这种基础项，删掉，没人会因为你会在终端敲ls命令而录用你。留白比堆满好，HR扫一眼能抓住重点，你就赢了。

模板这东西，本质是帮你把攻击思维翻译成招聘方能看懂的语言。别套用网上下载的那些花哨排版，白纸黑字，标题加粗，时间线清晰，项目描述用动词开头。就这么简单。你过去挖过的每一个洞，都比任何形容词更有说服力。